JVNDB-2026-033772

Node.js Foundationのundiciにおける複数の脆弱性

undiciのdumpインターセプターは、設定可能な最大サイズまでレスポンスボディを読み取り破棄します。レスポンスが最大値を超えるContent-Lengthを宣言している場合、インターセプターは正常に中断しますが、Content-Lengthがなくチャンク転送されているレスポンスの場合、インターセプターは溜まったサイズが最大に達した時点で完了を早期に通知し、リクエストを一時停止や中止しません。基盤となるパーサーは引き続きボディバイトを提供し続けるため、2回目の完了シグナルが発生し内部アサーションに失敗してリクエストが中断され、接続が切断されます。これにより、接続が実際には切断されているにもかかわらず、アプリケーションは空または切り詰められたボディとともに誤解を招く成功ステータスを観察することになります。この問題はundiciの7.1.0から7.29.1まで、および8.0.0から8.10.2までのバージョンに影響を与えます。ユーザーはundiciを7.29.1または8.10.2にアップグレードする必要があります。

Node.js Foundation

• undici 7.1.0 以上 7.29.1 未満
• undici 8.0.0 以上 8.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to response truncation via oversized chunked responses in the dump interceptor  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切な入力確認(CWE-20) [その他]
2. キャッチされない例外(CWE-248) [その他]

1. CVE-2026-84947

1. National Vulnerability Database (NVD) : CVE-2026-84947

• [2026年09月16日]
    掲載